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Sicherheit, Datenschutz und Überwachung von Cloud-Daten 


Vorbemerkung der Fragesteller 

Dokumente nur vom heimisehen Rechner einzusehen, ist heutzutage kaum 
noch vorstellbar. Von überall - egal ob vom Smartphone, von einem Intemet- 
cafe im Urlaub oder vom Rechner auf der Arbeit - auf eigene digitale Daten 
zugreifen zu können, ist längst Realität. Möglich machen dies die sogenannten 
Public-Cloud- Anbieter. So einfach die Nutzung der Public Cloud auch scheint, 
gibt es immer wieder Debatten hinsichtlich Sicherheit, Datenschutz und Trans- 
parenz. Kritisiert wird, dass ihre Infrastrukturen erhebliche Sicherheitsrisiken 
aufweisen: Die Registrierung sei zu einfach, Datenmissbrauch und -verlust 
kaum vermeidbar, Schnittstellen zu unsicher, die Verschlüsselung der Daten 
mangelhaft. Zugriffsberechtigte bei den Anbietern nicht immer vertrauens- 
würdig. Überdies ist es kaum nachvollziehbar, in welchem Land sich der Ser- 
ver des jeweiligen Anbieteruntemehmens und somit auch die Daten der Nutze- 
rinnen und Nutzer befinden. Für Public-Cloud- Anbieter gibt es keine einheitli- 
chen Verträge und verbindlichen Standards. Je nach Verarbeitungsort können 
Dritte ohne großen Aufwand Zugriff auf die Daten bekommen. Hierzu gehö- 
ren Geheimdienste, Strafverfolgungs-, Grenz- oder Finanzbehörden, die auf 
diesem Wege Informationen einholen können. Zwei Studien machen überdies 
darauf aufmerksam, dass Rechtsakte der US-Regierung den Zugriff ihrer Be- 
hörden sogar auf Daten außerhalb ihres Hoheitsgebietes erlauben („US-Mas- 
senüberwachung der EU-Bürger“, futurezone.at vom 15. Januar 2013). Auch 
kaim nicht ausgeschlossen werden, dass die nationale Gesetzgebung mancher 
Staaten einen Zugriff von privaten Dritten, also Unternehmen, auf die Daten 
zulässt. 

Anstatt sich der Datenschutzproblematik bei Cloud-Diensten anzunehmen, 
konzentriert sich die Bundesregierung auf den Zugriff ihrer Behörden auf die 
Daten und die Abfrage von Cloud-Passwörtem zu Ermittlungszwecken („Re- 
gierung will Abfrage von Cloud-Passwörtem erlauben“; ZEIT ONLINE vom 
24. Oktober 2012). Auf mehreren Ebenen sind das Bundeskriminalamt 
(BKA), das Zollkriminalamt (ZKA), die Bundespolizei und das Bundesamt für 
Verfassungsschutz damit befasst, Polizeien und Geheimdiensten die Heraus- 
gabe von Cloud-Daten zu erleichtern. Dabei handelt es sich einerseits um die 
Erörtemng gmndsätzlicher Fragen und Rahmenbedingungen. In Projekten, 
Studien und Arbeitsgmppen werden aber auch technische Fragen erörtert. 


Die Antwort wurde namens der Bundesregierung mit Schreiben des Bundesministeriums des Innern vom 5. März 2013 über- 
mittelt. 

Die Drucksache enthält zusätzlich - in kleinerer Schrifttype - den Fragetext. 


Drucksache 17/12651 


-2- 


Deutscher Bundestag - 17. Wahlperiode 


Auf nationaler Ebene betreibt das Strategie- und Forschungszentrum Telekom- 
munikation (SFZ TK) ein Projekt unter dem Namen „CLOUD“, das sich mit 
Fragestellungen zu Cloud-Computing und dessen Implikationen auf die Tele- 
kommunikationsüberwachung beschäftigt (Plenarprotokoll 17/210). Im SFZ 
TK sind das BKA, die Bundespolizei und das Bundesamt für Verfassungs- 
schutz gleichsam vertreten. Weitere Tätigkeitsfelder des polizeilich-geheim- 
dienstlichen Zentrums sind die Studien „Entwicklung der Netze“, „Next Gene- 
ration Network“ und „Rufnummemmanipulation“. Alle Anstrengungen dre- 
hen sich darum, wie in neuen digitalen Kommunikationsplattformen die Tele- 
kommunikationsüberwachung umgesetzt werden kann. 

Zur Beteiligung der 16 Bundesländer an den Überlegungen zur Überwachung 
neuer Kommunikationsplattformen dient die Kommission Grundlagen der 
Überwachungstechnik (KomGÜT). Die Kommission soll „Synergien durch 
Abstimmungen und Kooperationen auf Bund-/Länderebene“ erzeugen. Betei- 
ligt sind das BKA, das ZKA und die Bundespolizei. Das Bundesamt für Ver- 
fassungsschutz wird bei der KomGÜT als „Gast“ geführt. Auf Ebene der Lan- 
desinnenministerien betreiben die Länderpolizeien zudem einen Unteraus- 
schuss Information und Kommunikation (UA luK), der beim Arbeitskreis 11 - 
Innere Sicherheit der Arbeitsgemeinschaft der Innenministerien der Länder 
angesiedelt ist. 

Um auch international Einfluss auf die Standardisierung der Telekommunika- 
tionsüberwachung von Cloud-Diensten zu nehmen, engagieren sich deutsche 
Polizeibehörden überdies in internationalen Netzwerken. Eine besondere 
Rolle kommt dem European Telecommunications Standards Institute (ETSl) 
zu, das einen „Technische [n] Report“ zu Cloud-Diensten erarbeitet (Bundes- 
tagsdrucksache 17/11598). Das Normungsinstitut sucht dafür die Zusammen- 
arbeit deutscher Provider, darunter der Deutschen Telekom AG und Telefonica 
02. Auch die Bundesnetzagentur wurde dafür angesprochen. Bekanntlich 
arbeitet die Aachener Überwachungssparte des Utimaco-Konzems im Tech- 
nischen Komittee für Telekommunikationsüberwachung (TC LI) des ETSl mit 
(www. tin)airl.com/cw3aq4k). Die Firma stellt Abhörschnittstellen (Lawful 
Interception Management Systems) her. ln der Arbeitsgruppe wird der Bedarf 
zukünftiger Abhörtechnologie durch Ermittlungsbehörden und Geheimdienste 
festgelegt. Auch das Bundesamt für Verfassungsschutz und die Bundesnetz- 
agentur sind beteiligt. Zu den international aktiven Akteuren hinsichtlich der 
Überwachung der Telekommunikation gehören neben dem Bundesamt für 
Sicherheit in der Informationstechnik (BSl) auch das Landesamt für Zentrale 
Polizeiliche Dienste (LZPD) der Landespolizei Nordrhein- Westfalen. 

Die Fragestellerinnen und Fragesteller sehen die Anstrengungen zur Über- 
wachung von Cloud-Diensten überaus kritisch. Die beteiligten Behörden un- 
tergraben damit das ohnehin gestörte Vertrauen in die Freiheit des Internets. 
Zudem wird das Trennungsgebot von Polizei und Geheimdiensten in den ge- 
narmten Gremien zunehmend ausgehöhlt. Es kann deshalb nicht hingenom- 
men werden, wenn die Fragen zu dem Gebaren und den Aktivitäten der Behör- 
den nicht öffentlich beantwortet werden. 


1. Mit welchen Gesetzgebungsinitiativen, Forschungsprojekten, Studien und 
Verfahren zur (zukünftigen) Überwachung, Sicherung und Herausgabe von 
Daten bei Cloud-Diensten sind deutsche Behörden gegenwärtig befasst? 

Das Strategie- und Forschungszentrum Telekommunikation (SFZ TK) betreibt 
eine Studie zur Entwicklung von Cloud-Diensten und deren Auswirkung auf 
die Sicherheitsbehörden. Auf die Anlage 6 zum Plenarprotokoll 17/210 wird 
verwiesen. 


2. Inwieweit betreibt das Bundeskriminalamt eigene Anstrengungen zur 
(zukünftigen) Überwachung, Sichemng und Herausgabe von Daten bei 
Cloud-Diensten? 
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a) Auf wessen Initiative kamen die Vorhaben zustande, und wie werden 
diese finanziert? 

b) Mit welchen weiteren Behörden, Firmen oder anderen Institutionen ar- 
beitet das BKA hierfür zusammen? 

c) Wann und wo werden etwaige Ergebnisse der Vorhaben vorgestellt und 
beraten? 

d) Inwieweit sind diese öffentlich zugänglich? 

Das Bundeskriminalamt (BKA) betreibt derzeit keine eigenen Anstrengungen 
zur (zukünftigen) Überwachung, Sicherung und Herausgabe von Daten bei 
Cloud-Diensten. 


3 . Inwieweit betreibt das Zollkriminalamt eigene Anstrengungen zur (zukünf- 
tigen) Überwachung, Sicherung und Herausgabe von Daten bei Cloud- 

Diensten? 

a) Auf wessen Initiative kamen die Vorhaben zustande, und wie werden 
diese finanziert? 

b) Mit welchen weiteren Behörden, Firmen oder anderen Institutionen ar- 
beitet das ZKA hierfür zusammen? 

c) Wann und wo werden etwaige Ergebnisse der Vorhaben vorgestellt und 
beraten? 

d) Inwieweit sind diese öffentlich zugänglich? 

Das Zollkriminalamt (ZKA) betreibt derzeit keine eigenen Anstrengungen zur 
(zukünftigen) Überwachung, Sicherung und Herausgabe von Daten bei Cloud- 
Diensten. 


4. Inwieweit betreibt die Bundespolizei eigene Anstrengungen zur (zukünfti- 
gen) Überwachung, Sicherung und Herausgabe von Daten bei Cloud- 

Diensten? 

a) Auf wessen Initiative kamen die Vorhaben zustande, und wie werden 
diese finanziert? 

b) Mit welchen weiteren Behörden, Firmen oder anderen Institutionen ar- 
beitet die Bundespolizei hierfür zusammen? 

c) Wann und wo werden etwaige Ergebnisse der Vorhaben vorgestellt und 
beraten? 

d) Inwieweit sind diese öffentlich zugänglich? 

Die Bundespolizei (BPOL) betreibt derzeit keine eigenen Anstrengungen zur 
(zukünftigen) Überwachung, Sicherung und Herausgabe von Daten bei Cloud- 
Diensten. 


5. Inwieweit betreibt das Bundesamt für Verfassungsschutz eigene Anstren- 
gungen zur (zukünftigen) Überwachung, Sicherung und Herausgabe von 
Daten bei Cloud-Diensten? 

a) Auf wessen Initiative kamen die Vorhaben zustande, und wie werden 
diese finanziert? 

b) Mit welchen weiteren Behörden, Firmen oder anderen Institutionen ar- 
beitet das Bundesamt für Verfassungsschutz hierfür zusammen? 
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c) Wann und wo werden etwaige Ergebnisse der Vorhaben vorgestellt und 
beraten? 

d) Inwieweit sind diese öffentlich zugänglich? 

Das Bundesamt für Verfassungsschutz (BfV) betreibt derzeit keine eigenen An- 
strengungen zur (zukünftigen) Überwachung, Sicherung und Herausgabe von 
Daten bei Cloud-Diensten. 


6. Inwieweit betreibt die Bundesnetzagentur eigene Anstrengungen zur (zu- 
künftigen) Überwachung, Sicherung und Herausgabe von Daten bei Cloud- 

Diensten? 

a) Auf wessen Initiative kamen die Vorhaben zustande, und wie werden 
diese finanziert? 

b) Mit welchen weiteren Behörden, Firmen oder anderen Institutionen ar- 
beitet die Bundesnetzagentur hierfür zusammen? 

c) Wann und wo werden etwaige Ergebnisse der Vorhaben vorgestellt und 
beraten? 

d) Inwieweit sind diese öffentlich zugänglich? 

Die Bundesnetzagentur (BNetzA) betreibt keine eigenen Anstrengungen zur 
(zukünftigen) Überwachung, Sicherang und Herausgabe von Daten bei Cloud- 
Diensten. 


7. Inwieweit betreibt das Bundesamt für Sicherheit in der Informationstech- 
nik eigene Anstrengungen zur (zukünftigen) Überwachung, Sicherung und 

Herausgabe von Daten bei Cloud-Diensten? 

a) Auf wessen Initiative kamen die Vorhaben zustande, und wie werden 
diese finanziert? 

b) Mit welchen weiteren Behörden, Firmen oder anderen Institutionen ar- 
beitet das BSl hierfür zusammen? 

c) Wann und wo werden etwaige Ergebnisse der Vorhaben vorgestellt und 
beraten? 

d) Inwieweit sind diese öffentlich zugänglich? 

Das Bundesamt für Sicherheit in der Informationstechnik (BSl) betreibt derzeit 
keine eigenen Anstrengungen zur (zukünftigen) Überwachung, Sicherung und 
Herausgabe von Daten bei Cloud-Diensten. 


8. Inwieweit betreiben der Bundesnachrichtendienst (BND) und der Militä- 
rische Abschirmdienst (MAD) eigene Anstrengungen zur (zukünftigen) 

Überwachung, Sicherung und Herausgabe von Daten bei Cloud-Diensten? 

a) Auf wessen Initiative kamen die Vorhaben zustande, und wie werden 
diese finanziert? 

b) Mit welchen weiteren Behörden, Firmen oder anderen Institutionen ar- 
beiten der BND und der MAD hierfür zusammen? 

c) Wann und wo werden etwaige Ergebnisse der Vorhaben vorgestellt und 
beraten? 

d) Inwieweit sind diese öffentlich zugänglich? 

Weder der Bundesnachrichtendienst (BND) noch der Militärische Abschirm- 
dienst (MAD) betreiben derzeit eigene Anstrengungen zur (zukünftigen) Über- 
wachung, Sicherung und Herausgabe von Daten bei Cloud-Diensten. 
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9. Welche Überlegungen führten dazu, das in der Vergangenheit beim Bun- 
desverwaltungsamt angesiedelte Kompetenzzentrum der Zentralstelle für 
Telekommunikationstechnologien in das Strategie- und Forschungszen- 
trum Telekommunikation zu überführen? 

Im Rahmen der Neuorganisation in der Telekommunikationsüberwachung im 
Geschäftsbereich des Bundesministeriums des Innern (BMI) wurden die Auf- 
gaben der Zentralstelle für Kommunikationstechnologien (ZSK) vom Bundes- 
verwaltungsamt (BVA) an BfV, BKA und BPOL zurückübertragen. Zur Wahr- 
nehmung der Aufgaben des früheren Kompetenzzentrums der ZSK (CC) wurde 
das Strategie- und Forschungszentrum Telekommunikation (SFZ TK) einge- 
richtet. 


a) Welche Aufgaben hatte das frühere Kompetenzzentrum der Zentral- 
stelle für Telekommunikationstechnologien, und wer war daran betei- 
ligt? 

b) Inwiefern unterscheiden sich die Aufgaben des SFZ TK vom früheren 
Kompetenzzentrum der Zentralstelle für Telekommunikationstechno- 
logien? 

Die Aufgaben des CC entsprachen grundsätzlich denen des heutigen SFZ TK. 
Im Übrigen wird auf die Anlage 6 des Plenarprotokolls 17/210 verwiesen. 

c) Wo ist das SFZ TK angesiedelt? 

Das SFZ TK ist eine behördenübergreifende Kooperationsplattform im Ge- 
schäftsbereich des BMI. Es ist keiner Behörde zugeordnet. Dienstsitz ist die 
Liegenschaft des BKA in Berlin-Treptow. 

d) Über welchen Haushalt verfügt das SFZ TK, und wie wird es finan- 
ziert? 

Das SFZ TK als Kooperationsplattform ist keine eigenständige Organisations- 
einheit und hat daher keine eigene finanzielle Ausstattung. Die Finanzierung 
der Projekte des SFZ TK erfolgt aus den jeweiligen Haushaltsansätzen der be- 
teiligten Behörden. Die Personalkosten der dort eingesetzten Mitarbeiter wer- 
den durch die jeweils entsendende Behörde getragen. 

e) Inwiefern wurde bei der Einrichtung des SFZ TK erörtert, ob dadurch 
das Trennungsgebot von Geheimdiensten und Polizei aufgeweicht 
werden könnte? 

Die Aufgabenwahmehmung des SFZ TK erfolgt ausschließlich auf einer strate- 
gisch/wissenschaftlichen Ebene; das Trennungsgebot ist somit nicht berührt. 


10. Welche weiteren Details kann die Bundesregierung zum Projekt 
„CLOUD“ mitteilen, das sich mit Fragestellungen zu Cloud-Computing 
und dessen Implikationen auf die Telekommunikationsüberwachung be- 
schäftigt (Plenarprotokoll 17/210)? 

a) Unter wessen Leitung steht das Projekt „CLOUD“? 

Die fachliche Leitung des Projekts erfolgt durch das SFZ TK. 

b) Wer hat die Einrichtung des Projekts angeregt und verfügt? 

Die Durchführung des Projektes wurde durch den Lenkungskreis des SFZ TK 
beschlossen, der aus Vertretern der am SFZ TK beteiligten Behörden besteht. 
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c) Welche Arbeitsgruppen oder Unterarbeitsgruppen existieren im Pro- 
jekt? 

Es existieren keine Arbeits- oder Unterarbeitsgruppen. 

d) Welche konkreten Aufgaben übernehmen das BKA, die Bundespolizei 
und das Bundesamt für Verfassungsschutz im Rahmen des Projekts? 

Die genannten Behörden wirken durch an das SFZ TK entsandte eigene Mit- 
arbeiter am Projekt mit. Sie formulieren dort u. a. fachliche Fragestellungen. 

e) Welche Treffen haben hierzu stattgefunden, und wer nahm daran teil? 

Es fanden drei Treffen der Projektbeteiligten sowie von Behörden- und Indus- 
trievertretern statt. 

f) Welche weiteren Institutionen, Firmen oder wissenschaftlichen Ein- 
richtungen wurden für das Projekt mit welchem Ziel angesprochen? 

Die für das Projekt notwendigen Dienstleistungen wurden im Rahmen einer 
Ausschreibung vergeben. Hierfür wurden in Frage kommende Dienstleister an- 
gesprochen. 


g) Wie haben die Angesprochenen darauf reagiert? 

Die angesprochenen Marktteilnehmer haben jeweils ein Angebot abgegeben. 

h) Welche weiteren Institutionen, Firmen oder wissenschaftlichen Ein- 
richtungen sollen zukünftig für das Projekt angesprochen werden? 

Es ist derzeit nicht geplant, weitere Projektbeteiligte zu gewinnen. 

i) Wann, wo und wem werden etwaige Ergebnisse des Projekts 
„CLOUD“ vorgestellt und beraten? 

Nach Vorliegen und Auswertung der Projektergebnisse werden diese den 
Sicherheitsbehörden dargestellt. 

j) Inwieweit sind diese öffentlich zugänglich? 

Eine Veröffentlichung ist nicht vorgesehen. 


1 1 . Auf welche Art und Weise bzw. mit welchem Inhalt wurden innerhalb 
von „CLOUD“ folgende Themen erörtert oder bearbeitet: 

a) Software und Betriebssysteme, 

Es erfolgte keine diesbezügliche Erörterung. 

b) auf verschlüsselten Kommunikationsprotokollen basierender Zugang 
zu Cloud-Diensten, 

Es wurden keine konkreten Kommunikationsprotokolle betrachtet. Vielmehr 
wurde die Verschlüsselung im Bereich des Cloud-Computing im Allgemeinen 
behandelt. 
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c) Zugriff der Sicherheitsbehörden, 

Gegenstand des Projekts waren die rechtlichen Rahmenbedingungen und die 
Erörterung potentieller technischer Möglichkeiten für einen Zugriff der Sicher- 
heitsbehörden. 

d) Forensik? 

Die Auswirkungen auf die Forensik wurden aufgegriffen, jedoch nicht ab- 
schließend betrachtet. 


12. Welche weiteren Details kann die Bundesregierang zu Inhalten, Zielset- 
zung und Beteiligten der Studien „Entwicklung der Netze“, „Next Gene- 
ration Network“ und „Rufnummemmanipulation“ mitteilen (Plenarproto- 
koll 17/210)? 

Die Inhalte und Zielsetzung der SFZ TK-Studien zur Entwicklung der Netze/ 
Next Generation Networks und der Studie zur Untersuchung des Phänomens 
Caller-ID-Spoofing wurden in dem referenzierten Plenarprotokoll dargestellt. 
Die Studien werden unter Beteiligung der Sicherheitsbehörden im Geschäftsbe- 
reich des BMI und ausgewählten Unternehmen der TK-lndustrie durchgeführt. 


13. Auf welche Weise befasst sich die Kommission Grundlagen der Über- 
wachungstechnik mit der (zukünftigen) Überwachung, Sicherung und 
Herausgabe von Daten bei Cloud-Diensten? 

Auf die Antworten zu den Fragen 20 ff. auf Bundestagsdrucksache 17/11239 
wird verwiesen. 

Technische Iimovationen im Themenfeld der Überwachungstechnik haben 
regelmäßig Auswirkungen auf polizeitaktische Möglichkeiten und Anforderun- 
gen. Die sich dabei regelmäßig ergebenden Verflechtungen der Felder Technik, 
Taktik und Recht erfordern im föderalen Verbund die Zusammenarbeit mit an- 
deren Gremien und in Teilen mit Industrie und Verbänden. In diesem Kontext 
kommt der Kommission Grundlagen der Überwachungstechnik (KomGÜT) die 
Funktion einer bund-/länderübergreifenden Beratungsinstanz zu, die die not- 
wendigen Anpassungsprozesse für die polizeiliche Telekommunikationsüber- 
wachung (TKÜ) insbesondere aus technischer Sicht erkennt, bewertet und 
schließlich entsprechende Handlungs-ZUmsetzungserfordernisse für die Poli- 
zeien des Bundes und der Länder anregt. 

Mit der (zukünftigen) Überwachung, Sicherung und Herausgabe von Daten bei 
Cloud-Diensten hat sich die KomGÜT bislang nur als einem von vielen Aspek- 
ten der notwendigen Fortentwicklung der polizeilichen Telekommunikations- 
überwachung befasst. 

a) Welche „Synergien durch Abstimmungen und Kooperationen auf 
Bund-/Länderebene“ wurden hinsichtlich der (zukünftigen) Über- 
wachung, Sicherung und Herausgabe von Daten bei Cloud-Diensten 
bereits erzeugt bzw. welche sind angestrebt? 

Auf Basis der gebündelten Expertise der für die polizeiliche TKÜ Verantwort- 
lichen der Polizeien des Bundes und der Länder bewertet die KomGÜT den 
Prozess der polizeilichen TKÜ insbesondere unter technischen, betrieblichen 
und organisatorischen Aspekten. Synergetische Effekte bei der Umsetzung der 
so erarbeiteten und konsentierten Empfehlungen sind zunächst für fiskalische/ 
haushälterische Belange in Bund und Ländern zu verzeichnen (z. B. bei länder- 
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übergreifenden Kooperation für die kostenintensive Beschaffung und den Be- 
trieb von TKÜ-Anlagen). Daneben steht die Initiierung und/oder Harmonisie- 
rung polizeitaktischer Vorgehensweisen und kriminalpolitischer Forderungen. 

b) Auf wessen Initiative kamen die Vorhaben zustande, und wie werden 
diese finanziert? 

Als Beratungs- bzw. Harmonisierungsinstanz innerhalb der föderalen Struk- 
turen der IMK betreibt die KomGÜT keine Vorhaben im Sinne konkreter/defi- 
nierter Realisierungs- oder Umsetzungsprojekte. 

c) Unter wessen Leitung stehen die Vorhaben? 

d) Mit welchen weiteren Behörden, Firmen oder anderen Institutionen 
arbeitet die KomGÜT hierfür zusammen? 

e) Wann und wo werden etwaige Ergebnisse der Vorhaben vorgestellt 
und beraten? 

f) Inwieweit sind diese öffentlich zugänglich? 

Auf die Antwort zu Frage 13b wird verwiesen. 

g) Inwiefern wurde innerhalb der KomGÜT erörtert, ob durch die Mitar- 
beit des Bundesamtes für Verfassungsschutz (auch als „Gast“) das 
Trennungsgebot von Geheimdiensten und Polizei aufgeweicht werden 
könnte? 

Das BfV ist nicht Mitglied der KomGÜT. Bei der Teilnahme des BfV zu ausge- 
wählten Tagesordnungspunkten an bestimmten Sitzungen der KomGÜT steht 
der fachliche Austausch zu ausgewählten Fachfragen zur TKÜ im Siime eines 
„Best-Practice-Austauschs“ im Vordergrund. Operative und/oder personenbe- 
zogene Angelegenheiten sind hiervon nicht umfasst. Das „Trennungsgebot“ ist 
somit nicht tangiert. 


14. Auf welche Weise befasst sich der Unterausschuss Information und Kom- 
munikation nach Keimtnis der Bundesregiemng mit der (zukünftigen) 
Überwachung, Sichemng und Herausgabe von Daten bei Cloud-Diens- 
ten? 

a) Auf wessen Initiative kamen die Vorhaben zustande, und wie werden 
diese finanziert? 

b) Unter wessen Leitung stehen die Vorhaben? 

c) Mit welchen weiteren Behörden, Firmen oder anderen Institutionen 
arbeitet die KomGÜT hierfür zusammen? 

d) Wann und wo werden etwaige Ergebnisse der Vorhaben vorgestellt 
und beraten? 

e) Inwieweit sind diese öffentlich zugänglich? 

Die KomGÜT ist dem Unterausschuss Information und Kommunikation (UA 
luK), der als Beschlussgremium fungiert, nachgeordnet. Sie berichtet ihm 
regelmäßig. Mit der (zukünftigen) Überwachung, Sicherung und Herausgabe 
von Daten bei Cloud-Diensten hat sich der UA luK bislang in dem dargelegten 
Umfang (siehe Antwort zu Frage 13) befasst. 

Im Übrigen wird auf die Antwort zu den Fragen 20 ff. auf Bundestagsdruck- 
sache 17/11239 verwiesen. 
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15. Auf welche Weise befassen sich Agenturen oder Ratsarbeitsgruppen der 
Europäischen Union mit konkreten Vorhaben der (zukünftigen) Überwa- 
chung, Sicherung und Herausgabe von Daten bei Cloud-Diensten bzw. 
deren gesetzlichen und organisatorischen Rahmenbedingungen? 

Auf die Antworten zu Frage 16 wird verwiesen. Die Europäische Polizeiagen- 
tur (College Europeen de Police - CEPOL) bietet Trainingsangebote für Poli- 
zeiangehörige zum Thema Cybercrime an, die auch das Thema Cloud Compu- 
ting umfassen. Der Bundesregierung ist nicht bekannt, dass sich europäische 
Agenturen oder Ratsarbeitsgruppen darüber hinaus mit konkreten Vorhaben der 
(zukünftigen) Überwachung, Sicherung und Fierausgabe von Daten bei Cloud- 
Diensten bzw. deren gesetzlichen und organisatorischen Rahmenbedingungen 
befassen. 


16. Welche weiteren Details kann die Bundesregierung zum „Technische[n] 
Report“ zu Cloud-Diensten des European Telecommunications Standards 
Institute mitteilen (Bundestagsdrucksache 17/11598)? 

a) Unter wessen Leitung steht der „Technische Report“? 

Zu den Fragen 16 und 16a wird auf die Antwort zu Frage 15 auf Bundestags- 
drucksache 17/11239 verwiesen. 

b) Wer hat die Einrichtung des Projekts angeregt und verfügt? 

Die Einrichtung des Projekts erfolgte auf Initiative der Arbeitsgruppe ETSl TC LI. 

c) Welche konkreten Aufgaben übernehmen das BKA, die Bundespolizei 
und das Bundesamt für Verfassungsschutz im Rahmen des Projekts? 

BfV und BKA nehmen an den Arbeitsgruppensitzungen des ETSl TC LI teil, 
übernehmen dabei jedoch keine konkreten Aufgaben. 

d) Welche Treffen haben hierzu stattgefunden, und wer nahm daran teil? 

Der in der Frage genannte „Technische Report“ wurde im September 2011 er- 
stellt und wird seitdem in allen regulär stattfindenden Treffen der Arbeits- 
gruppe ETSl TC LI weiterentwickelt. Die Teilnahme beschränkt sich auf die 
Mitglieder der Arbeitsgruppe ETSl TC LI. Im Übrigen wird auf die Antwort zu 
Frage 10 auf Bundestagsdrucksache 17/11239 verwiesen. 

e) Welche weiteren Institutionen, Firmen oder wissenschaftlichen Ein- 
richtungen wurden für das Projekt mit welchem Ziel angesprochen? 

Der Bundesregierung liegen hierzu keine Erkenntnisse vor. 

f) Wie haben die Angesprochenen darauf reagiert? 

g) Welche weiteren Institutionen, Firmen oder wissenschaftlichen Ein- 
richtungen sollen zukünftig für das Projekt angesprochen werden? 

Auf die Antwort zu Frage 16e wird verwiesen. 

h) Wann und wo wird der „Technische Report“ vorgestellt und beraten? 
Auf die Antwort zu Frage 16d wird verwiesen. 
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i) Inwieweit ist dieser öffentlich zugänglich? 

Der Technische Report befindet sich in einer Entwurfsfassung und wird von 
ETSI nicht öffentlich zur Verfügung gestellt. 


17. Welche Treffen der Arbeitsgruppen TC LI und SA 3 LI des ETSI haben 
nach Kenntnis der Bundesregierung bzw. ihrer teilnehmenden Behörden 
in den letzten fünf Jahren an welchen Orten in Deutschland stattgefun- 
den? 

Es existiert keine Unterarbeitsgruppe „SA3 LI“ des ETSI. Die Antworten be- 
ziehen sich daher auf die ETSl-Arbeitsgruppe TC LI. Auf Bundestagsdruck- 
sache 17/11239 wird verwiesen. 

Die folgenden Treffen haben in den letzten fünf Jahren in Deutschland stattge- 
fünden; 

• ETSI TC LI Rapporteur’s Meeting #19 (26. März bis 28. März 2008) in 
Mainz 

• ETSI TC El Meeting #24 (15. Juni bis 17. Juni 2010) in Aachen 

• ETSI TC LI Rapporteur’s Meeting #25 (1. Dezember bis 3. Dezember 2010) 
in Duisburg 

• ETSI TC LI Rapporteur’s Meeting #26 (4. April bis 5. April 2012) in Mainz 

• ETSI TC LI Rapporteur’s Meeting #27 (26. November bis 30. November 
2012) in Duisburg 

a) Welche deutschen Finnen oder Behörden waren für die Einladung 
oder Tagesordnung jeweils verantwortlich? 

Die Treffen in Mainz wurden von der Bundesnetzagentur, die Treffen in Duis- 
burg vom Landesamt für Zentrale Polizeiliche Dienste (LZPD) bzw. dem Lan- 
deskriminalamt Nordrhein- Westfalen und das Treffen in Aachen von einem 
teilnehmenden Unternehmen jeweils in Zusammenarbeit mit ETSI organisiert. 
Die Tagesordnungen werden durch die Beiträge der Mitglieder von ETSI TC LI 
bestimmt und durch den Vorsitzenden erstellt. 

b) Welche deutschen Firmen oder Behörden haben an den Treffen teil- 
genommen? 

Auf Bundestagsdrucksache 17/11239 wird verwiesen. 

c) Welche TeilnehmerZ-innen sind ihren Behörden noch erinnerlich, so- 
fern die Bundesregierung über keine Teilnahmelisten verfügt? 

Es liegen keine Teilnehmerlisten vor; auf die Antwort zu Frage 17b wird ver- 
wiesen. 

d) Mit welchen Zielen und mit welchen Initiativen haben sich das Lan- 
desamt für Zentrale Polizeiliche Dienste der Polizei Nordrhein- West- 
falen und (soweit den Beteiligten der Bundesregierung bekannt oder 
erinnerlich) der Aachener Hersteller von Überwachungstechnologien 
Utimaco in den letzten fünf Jahren in den Arbeitsgruppen TC LI und 
SA 3 LI eingebracht? 

Dazu liegen der Bundesregierung keine Informationen vor. 
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18. Auf welche Weise befasst sich die Internationale Femmeldeunion (ITU) 
nach Kenntnis der Bundesregierung mit der (zukünftigen) Überwachung, 
Sicherung und Herausgabe von Daten bei Cloud-Diensten? 

Die Internationale Fernmeldeunion (ITU) hat als technikorientierte VN-Son- 
derorganisation breite Erfahrungen im Bereich der Telekommunikationsinfra- 
struktur. Sie legt Standards fest und sorgt für die weltweite Koordinierung und 
Zuweisung von Funkfrequenzen. Zudem bietet sie Entwicklungsländern umfas- 
sende Beratung für den Ausbau der Telekommunikationsdienste und -netze an. 
Die Überwachung, Sicherung und Herausgabe von Daten bei Cloud-Diensten 
fällt nicht in das Mandat der ITU. 

a) Inwiefern wurde die Überwachung, Sichemng und Herausgabe von 
Daten bei Cloud-Diensten auch auf der World Conference on Interna- 
tional Telecommunications (WCIT) in Dubai thematisiert? 

Auf Cloud-Dienste fokussierte Fragen sind nicht Gegenstand der im Rahmen 
der WCIT neu verhandelten International Telecommunication Regulations 
(ITRs). 

b) Wie hat sich die Bundesregiemng zu entsprechenden Dokumenten 
oder Abstimmungen verhalten? 

Deutschland hat die Schlussakte der WCIT nicht gezeichnet. 


19. Wie beurteilt die Bundesregierang das Ergebnis der im Auftrag des Aus- 
schusses für Bürgerrecht, Justiz und Inneres des EU-Parlaments in Auf- 
trag gegebenen Studie des Centre D’Etudes sur les Conflits und des Cen- 
tre for European Policy Studies, wonach die größte Gefahr beim Cloud- 
Computing nicht in der Cyberkriminalität, sondern durch Zugriffe von 
Behörden bestünde („Fighting cyber crime and protecting privacy in the 
cloud“. European Parliament 2012)? 

Auf Anlage 30 des Plenarprotokolls 17/216 wird verwiesen. 


20. Welche Rechtsakte der US-Regierang sind der Bundesregierung bekannt, 
die einen Zugriff durch US-Behörden auf in den USA befindlichen 
Cloud-Servern gespeicherte Daten von Nutzerinnen und Nutzem aus der 
Europäischen Union ennöglichen? 

Zu Rechtsakten der Regierung der Vereinigten Staaten von Amerika, die einen 
Zugriff von US-Behörden auf Daten von Nutzem aus der Europäischen Union 
erlauben, die auf in den USA befindlichen „Cloud-Server“ gespeichert sind, 
liegen der Bundesregierung nur Hinweise aus öffentlich zugänglichen Quellen 
vor. Zu Inhalt und Auslegung ausländischen Rechts nimmt die Bundesregie- 
rung gmndsätzlich nicht Stellung. 

a) Inwieweit wurde die Bundesregierung von welchen Stellen der US- 
Regierung hierüber in Kenntnis gesetzt, etwa im Rahmen der kürzli- 
chen Verlängerung des sogenannten Foreign Intelligence Surveillance 
Act (FISA) durch den US-Präsidenten Barack Obama oder des soge- 
nannten Patriot Act? 

Die Bundesregiemng wurde hierzu nicht in Kenntnis gesetzt. 
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b) Inwiefern hat die Bundesregierung sichergestellt, dass betroffene deut- 
sche Staatsangehörige von etwaigen Abhörmaßnahmen im Vorfeld 
oder nachträglich unterrichtet werden? 

Die Unterrichtung betroffener Personen richtet sich nach dem jeweils einschlä- 
gigen Recht des Drittstaates. 

c) Inwiefern ist für die Durchsuchung der Cloud-Daten nach den jeweili- 
gen Rechtsakten eine richterliche Genehmigung erforderlich? 

Auf die Antwort zu Frage 20 wird verwiesen. 


2 1 . Inwiefern ist der Bundesregierung bekannt, ob der Patriot Act oder der 
FISA auch Zugriffe von US-Behörden außerhalb der USA erlaubt, wie es 
niederländische Wissenschaftler kürzlich in einer Studie beschrieben hat- 
ten („Cloud Computing in Higher Education and Research Institutions 
and the USA Patriot Act“, November 2012)? 

Zur extraterritorialen Wirkung des genannten ausländischen Rechts liegen der 
Bundesregierung keine Erkenntnisse vor. Im Übrigen wird auf die Antwort zu 
Frage 20 verwiesen. 

a) Wenn ja, wie bewertet die Bundesregierung die Rechtmäßigkeit eines 
Zugriffs von US-Behörden auf in Deutschland gespeicherte oder pro- 
zessierte Daten bei Unternehmen, Behörden oder sonstigen Stellen? 

Auf die Antwort zu Frage 21 wird verwiesen. 

b) Inwieweit ist diese Praxis durch Rechtshilfeabkommen der Bundesre- 
gierung mit den USA gedeckt, bzw. inwieweit widerspricht sie diesen? 

Rechtsgrundlagen für Ersuchen im Bereich der justiziellen Rechtshilfe in Straf- 
sachen mit dem Ziel des Zugriffs und der Übermittlung von Daten, die in einer 
Cloud gespeichert sind, sind im Wesentlichen der Vertrag vom 14. Oktober 
2003 zwischen der Bundesrepublik Deutschland und den Vereinigten Staaten 
von Amerika über die Rechtshilfe in Strafsachen (RhV D-USA) in Verbindung 
mit dem Zusatzvertrag vom 18. April 2006 zu dem vorbezeichneten Vertrag 
sowie das Übereinkommen des Europarats über Computerkriminalität vom 
23. November 2001 (EuCybercrimeÜbk). 

Im Flinblick auf den Zugriff auf diese Daten ist zu differenzieren: 

Sollen Daten aus der Cloud gesichert werden, ist die Geschwindigkeit der Maß- 
nahme von zentraler Bedeutung. Der Anwendungsbereich der Artikel 32 und 29 
des EuCybercrimeÜbk ist zu prüfen. Anschließend muss die Verwertung der 
Daten ermöglicht werden. Flier ist eine sorgfältige Prüfung rechtshilferechtlicher 
Standards zu gewährleisten. Der Anwendungsbereich des RhV D-USA ist er- 
öffnet. 

Die Voraussetzungen der grenzüberschreitenden justiziellen Zusammenarbeit 
in Strafsachen sind zudem unterschiedlich, weim der berechtigte Nutzer die Da- 
ten selbst und freiwillig auf seinen Rechner zurückholt, wenn er das Passwort 
bekaimtgibt oder die Daten nicht gesichert sind, aber ein deutscher Ermittler am 
ausländischen Standort hoheitlich tätig wird, oder wenn der berechtigte Nutzer 
nicht mit der Rückholung der Daten einverstanden ist. 

Auf die Antwort zu Frage 21 wird verwiesen. 
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c) Inwieweit treffen Medienberichte zu, wonach weder der EU-Kommis- 
sion noch dem EU-Parlament oder nationalen Datenschützem die 
Möglichkeit des US-Zugriffs auf Daten im Ausland bekannt war (Die 
Presse, 11. Januar 2013)? 

Die Bundesregierung hat keine Kenntnis davon, ob der Europäischen Kommis- 
sion, dem Europäischen Parlament oder nationalen Datenschützern die Mög- 
lichkeit des US-ZugrifFs auf Daten im Ausland bekannt war. 

d) Inwiefern sieht sich die Bundesregierung auch durch Medienberichte 
veranlasst, die Auslegung des Patriot Act oder des EISA für Spionage- 
maßnahmen auf ihrem Hoheitsgebiet zu unterbinden, und welche 
Schritte hat sie gegenüber welchen US-Stellen bereits unternommen? 

Die Bundesregierung sieht derzeit keine Veranlassung zu etwaigen Schritten im 
Sinne der Fragestellung. 

e) Wie werden die Bundesregierung und die EU zukünftig dafür sorgen, 
dass Cloud-Daten in Deutschland bzw. in der EU vor Abfragen aus 
den USA geschützt werden (bitte die konkreten Maßnahmen, Rechts- 
akte oder sonstigen Schritte erläutern)? 

Im Bereich der justiziellen Rechtshilfe in Strafsachen werden Probleme in bila- 
teralen Gesprächen mit den zuständigen US-Behörden erörtert. 


22. Wie viele Rechtshilfeersuchen zur Sicherung oder Herausgabe von 
Cloud-Daten haben welche Bundesbehörden in den letzten zwei Jahren 
bei welchen Einrichtungen welcher Länder gestellt? 

a) Wie viele Rechtshilfeersuchen zur Sicherung oder Herausgabe von 
Cloud-Daten haben welche Behörden welcher Länder in den letzten 
zwei Jahren bei welchen Bundesbehörden gestellt? 

b) Wie wurden die Rechtshilfeersuchen jeweils beantwortet? 

Weder die Anzahl eingehender, noch ausgehender Rechtshilfeersuchen, bzw. 
die Art der Beantwortung werden statistisch erfasst. 

c) Welche sonstigen Angaben kann die Bundesregierung zu deren Um- 
fang und Beantwortung machen, sofern sie die Rechtshilfeersuchen 
und ihren Ausgang nicht protokolliert? 

Im BKA aus dem Ausland eingehende Ersuchen um Sicherung oder Eteraus- 
gabe von Cloud-Daten sowie deren Beantwortung werden in der Praxis regel- 
mäßig über das G8 24/7 -Netzwerk abgewickelt. Ein von den deutschen Polizei- 
dienststellen bzw. Justizbehörden ausgehenden Rechtshilfeersuchen ist immer 
darm erforderlich, werm die Daten auf einem Server/Speicherplatz von einer 
ausländischen Firma im Ausland gespeichert sind oder die Daten auf einem 
Server/Speicherplatz einer deutsche Firma im Ausland ausgelagert sind. 

ln einem Ermittlungsverfahren hat der Generalbundesanwalt im Jahr 2012 ein 
Rechtshilfeersuchen an das Justizministerium der Vereinigten Staaten von 
Amerika mit der Bitte gerichtet, bei einem Dienstleister die vollständigen In- 
halte eines dort von einem der Beschuldigten eingerichteten Speicherplatzes zu 
erheben und zur Verfügung zu stellen. Grandlage war ein entsprechender er- 
mittlungsrichterlicher Durchsuchungsbeschluss. Das Rechtshilfeersuchen ist 
im Juli 2012 seitens der USA erledigt worden. Weiterhin ist zu bemerken, dass 
es bei der Stellung eines Rechtshilfeersuchens häufig nicht bekannt ist, ob der 
Provider die erbetenen Daten auf einem lokalen Server oder „in der Cloud“ ge- 
speichert hat. 
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23. Trifft es zu, dass die Bundesregierung die Abfrage von Cloud-Passwör- 
tem im Rahmen des neuen Telekommunikationsgesetzes erleichtern 
möchte? 

a) Wie würde dieser Grundrechtseingriff begründet? 

b) Inwiefern wäre hierfür ein Richtervorbehalt notwendig? 

Nein. Vielmehr soll in Umsetzung der Vorgaben der Entscheidung des Bundes- 
verfassungsgerichts vom 24. Januar 2012 eine Auskunft über Passwörter (PIN 
und PUK) nur gestattet werden, wenn auch die gesetzlichen Voraussetzungen 
für die Nutzung der dadurch geschützten Daten vorliegen. 


24. Wie steht die Bundesregierung zu den Ausführungen des Strafrechtlers 
und Juniorprofessors Dr. Tobias Singeinstein, wonach sich technische 
Möglichkeiten zum Knacken der Passwörter von Cloud-Diensten für die 
Strafverfolgung verbieten, da diese nicht von der Strafprozessordnung ge- 
deckt sind (NStZ - Neue Zeitschrift für Strafrecht, Heft 11/2012, S. 593 
bis 606)? 

Die Bundesregierung sieht davon ab, Veröffentlichungen einzelner Rechtswis- 
senschaftler zu bewerten. 

a) Auf welcher rechtlichen Grundlage hält die Bundesregierang das 
heimliche Auslesen von Mobiltelefonen, etwa im Polizeigewahrsam 
oder bei Grenzkontrollen, für zulässig? 

Die Bundesregierang sieht im repressiven Bereich keine rechtliche Grundlage 
für ein heimliches „Auslesen von Mobiltelefonen“. Eine Ermittlung und Aus- 
wertung von in Mobiltelefonen gespeicherten Daten kann aber im Anschluss an 
eine Sicherstellung oder Beschlagnahme nach §§ 94 ff. der Strafprozessord- 
nung (StPO) bzw. entsprechenden gefahrenabwehrrechtlichen Vorschriften zu- 
lässig sein. Dabei handelt es sich indes um eine offene Maßnahme, die auf 
Grand richterlicher Anordnung nach § 98 StPO erfolgt. 

b) Inwiefern ist hierfür ein richterlicher Beschluss vonnöten? 

Auf die Antwort zu Frage 24a wird verwiesen. 

c) In welchem Umfang wird dies von welchen Bundesbehörden prakti- 
ziert? 

Es erfolgt keine statistische Erfassung entsprechender Maßnahmen. 

d) Auf welcher rechtlichen Grundlage hält die Bundesregierung die Ein- 
richtung von Schnittstellen zum unbemerkten Ausleiten des Datenver- 
kehrs bei Telekommunikationsanbietem für unbedenklich? 

Die Einrichtung von Schnittstellen zum Ausleiten des Datenverkehrs bei Tele- 
kommunikationsanbietem ohne Kenntnis des Anschlussinhabers oder -nutzers 
ist zur repressiven Überwachung der Telekommunikation und Erhebung von 
Verkehrsdaten nach Maßgabe der §§ 100a, 100b Absatz 3 Satz 1 und 2, § 100g 
Absatz 3 Satz 1 StPO in Verbindung mit § 110 des Telekommunikationsgeset- 
zes und der Telekommunikationsüberwachungs-Verordnung zulässig. 
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25. Über welche technischen Werkzeuge (Hardware, Software) verfugen wel- 
che Bundesbehörden zum Auslesen, Erraten oder Knacken von Passwör- 
tern von Intemetdiensten oder Kommunikationsgeräten? 

Zur Überwindung von Gerätesperrcodes bei Kommunikationsgeräten (Mobil- 
funkgeräten) werden im BKA kommerziell verfügbare Softwarewerkzeuge ein- 
gesetzt. Diese Maßnahmen werden jedoch ausschließlich bei Mobilfunkgeräten 
durchgeführt, die zuvor im Rahmen von Ermittlungsverfahren bei strafprozes- 
sualen Maßnahmen unter Beachtung der damit verbundenen einschlägigen 
Rechtsvorschriften sichergestellt wurden. 

Der BND und das BfV setzen zur Entzifferung handelsübliche wie auch eigen- 
entwickelte Hard- und Software ein. 

Das BSl führt gemäß § 3 Absatz 1 des Gesetzes über das Bundesamt für Sicher- 
heit in der Informationstechnik (BSIG) im Auftrag von behördlichen Kunden 
technische Sicherheitsprüfungen auf deren zu prüfenden IT-Systemen, Anwen- 
dungen und Netzen durch. Im Rahmen dieser technischen Sicherheitsprüfun- 
gen, insbesondere im Rahmen von Penetrationstests, werden IT-Systeme — im 
Auftrag des Kunden — auch auf leicht erratbare Passworte geprüft. Die Be- 
hebung hierbei identifizierter Schwachstellen erhöht die Robustheit der geprüf- 
ten IT-Systeme und fördert die IT-Sicherheit insgesamt. 


26. Inwiefern wurden nach Kenntnis der Bundesregierung in die genannten 
Vorhaben und Initiativen zur (zukünftigen) Überwachung, Sicherung und 
Herausgabe von Daten bei Cloud-Diensten auch VertreterZ-innen aus den 
Bereichen Datenschutz, Bürgerrechte oder Netzpolitik eingebunden (ins- 
besondere im SFZ TK, in der KomGÜT, dem UA luK und dem ETSl)? 

ln den vorgenannten Forschungsprojekten des SFZ TK erfolgte keine Einbin- 
dung von Vertretern aus den genannten Bereichen. 

ln der Arbeitsgruppe ETSI TC LI werden keine gesellschaftspolitischen Dis- 
kussionen geführt, sondern ausschließlich Fragen erörtert, die einer telekom- 
munikationstechnischen Umsetzung bestehender gesetzlicher Anforderungen 
bedürfen. Vertreter oder Vertreterinnen der in der Frage genaimten Gruppen 
sind daher nicht in die Arbeitsgruppe ETSI TC LI eingebunden. Auf die Ant- 
worten zu den Fragen 16d und 16i wird verwiesen. 
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